Cum îmi fura hackerii datele de pe banda magnetica?

[viano1]

Cum îmi fura hackerii datele de pe banda magnetica?

[viano1]

Ce pot face cu datele de pe banda magnetica?

[Nytro]

Pe banda magnetica se afla datele cardului, copia lor se face printr-un swipe (trecere a cardului prin acea fasie). La noi in tara nu am folosit niciodata in viata metoda asta, doar pe la americani am folosit. 

[Kev]

Iar incepem?

 

Track1,2,3---

 

Cu grija, mai bine intrebi cum nu-ti fura

[Kev]

29 minutes ago, Kev said:

Iar incepem?

 

Track1,2,3---

 

Cu grija, mai bine intrebi cum nu-ti fura

 

Edit: hackerii nu furã.

 

 

Edited January 23, 2023 by Kev

[viano1]

15 hours ago, Nytro said:

Pe banda magnetica se afla datele cardului, copia lor se face printr-un swipe (trecere a cardului prin acea fasie). La noi in tara nu am folosit niciodata in viata metoda asta, doar pe la americani am folosit. 

Se pot face retrageri de numerar?

[viano1]

Se pot face retrageri de numerar?

[Nytro]

Nu, deoarece PIN-ul nu se afla pe banda magnetica. Dar se pot face plati online. Ajuta 3D secure partial, e util doar daca site-urile de pe care ar putea cumpara online (sau procesatorii de plata) chiar implementeaza si ei 3D secure, ceea ce nu prea se intampla pe la americani (si site-urile lor). 

[viano1]

Daca au și pinul și datele de pe banda magnetica nu pot sa îmi scoată banii de pe card?

[viano1]

2 minutes ago, viano1 said:

Daca au și pinul și datele de pe banda magnetica nu pot sa îmi scoată banii de pe card la ATM ?

 

[gigiRoman]

2 hours ago, viano1 said:

Daca au și pinul și datele de pe banda magnetica nu pot sa îmi scoată banii de pe card?

Pot incerca. Dar nu din Romania.

Banda magnetica se poate copia, dar cheile de pe chip nu. Si daca incearca o tranzactie fara chip in alta tara si ai o banca buna (ex. Banca Transilvania, am auzit o speta), te suna si iti zic ca a incercat cineva sa iti utilizeze cardul in alta tara (probabil au ei ceva alerte, filtre, oricum incercand in alta tara sunt tranzactii interbancare internationale).

@Nytrocred totul ca numarul cardului si cvv nu se afla pe banda magnetica.

in alta ordine de idei 3d secure nu e implementat peste tot, iar daca au datele de pe card (nume, numar, cvv) intr-adevar pot face plati.

Recomand ca materiale cartea "Gray hat hacking", unde este un capitol despre ATM (metode de atac si aparare) si cartea SECURITATEA COMERTULUI ELECTRONIC de VICTOR-VALERIU PATRICIU, din 2000, in care sunt descrise protocoalele de transfer intre banci (probabil multe se folosesc, avand in vedere faptul ca inca se utilizeaza COBOL).

[viano1]

6 hours ago, gigiRoman said:

Pot incerca. Dar nu din Romania.

Banda magnetica se poate copia, dar cheile de pe chip nu. Si daca incearca o tranzactie fara chip in alta tara si ai o banca buna (ex. Banca Transilvania, am auzit o speta), te suna si iti zic ca a incercat cineva sa iti utilizeze cardul in alta tara (probabil au ei ceva alerte, filtre, oricum incercand in alta tara sunt tranzactii interbancare internationale).

@Nytrocred totul ca numarul cardului si cvv nu se afla pe banda magnetica.

in alta ordine de idei 3d secure nu e implementat peste tot, iar daca au datele de pe card (nume, numar, cvv) intr-adevar pot face plati.

Recomand ca materiale cartea "Gray hat hacking", unde este un capitol despre ATM (metode de atac si aparare) si cartea SECURITATEA COMERTULUI ELECTRONIC de VICTOR-VALERIU PATRICIU, din 2000, in care sunt descrise protocoalele de transfer intre banci (probabil multe se folosesc, avand in vedere faptul ca inca se utilizeaza COBOL).

Cred că și din Romania pot retrage banii fara a mai avea nevoie de chip

[gigiRoman]

42 minutes ago, viano1 said:

Cred că și din Romania pot retrage banii fara a mai avea nevoie de chip

Unde?

[viano1]

La ATM @gigiRoman

[Zatarra]

1 hour ago, gigiRoman said:

Unde?

 

Se poate la majoritatea banciilor, dar e nevoie de interactiune online si limita e foarte mica (la ING parca e 1500 RON pe zi)

[gigiRoman]

1 hour ago, Zatarra said:

 

Se poate la majoritatea banciilor, dar e nevoie de interactiune online si limita e foarte mica (la ING parca e 1500 RON pe zi)

Nu exista, in Romania este implementat protocolul EMV, daca bagi un card fara chip va fi rejectata tranzactia.

Cred ca la ING te referi la faptul ca scoti bani fara card. Emite ING carduri fara chip?

In tranzactiile nfc, deasemenea este implicat chipul in semnarea mesajelor.

Va rog sa verificati.

2 hours ago, viano1 said:

La ATM @gigiRoman

La care banci?

[viano1]

1 hour ago, gigiRoman said:

Nu exista, in Romania este implementat protocolul EMV, daca bagi un card fara chip va fi rejectata tranzactia.

Cred ca la ING te referi la faptul ca scoti bani fara card. Emite ING carduri fara chip?

In tranzactiile nfc, deasemenea este implicat chipul in semnarea mesajelor.

Va rog sa verificati.

La care banci?

Care sunt țările care nu folosesc emv?

[gigiRoman]

1 hour ago, viano1 said:

Care sunt țările care nu folosesc emv?

Nu stiu.

[Kev]

12 hours ago, gigiRoman said:

Nu exista, in Romania este implementat protocolul EMV, daca bagi un card fara chip va fi rejectata tranzactia.

Cred ca la ING te referi la faptul ca scoti bani fara card. Emite ING carduri fara chip?

In tranzactiile nfc, deasemenea este implicat chipul in semnarea mesajelor.

Va rog sa verificati.

La care banci?

 

Monzo, Monese, d/astea de 2 lei... instant inclusv Transivlavia

 

Revolut....

Edited January 25, 2023 by Kev

[kingpingzi]

In ziua de azi se cam poate orice, iar scam-urile au devenit chiar infricosatoare chiar si pentru expertii in domeniu (o sa iti explic in ultima parte de ce);

In orice caz, un card are:

Magnetic stripe-u ala ce contine Track1 data, Track2 si chiar si Track3. Track 1 e compus din 79 caractere alfanumerice, iar track 2 e compus doar din caractere numerice, pe cand Track3 (asta nu e pe toate stripe-urile) este folosit pentru a stoca codul PIN cifrat, codul de țară, unitățile valutare, suma autorizată, informațiile despre contul subsidiar și alte restricții de cont.

EMV [chip] (majoritatea in europa au asa ceva):

    EMV=Europay, Mastercard si Visa si e un protocol de securitate ce consta intr-un microprocesor creat de cei de la Europay, Mastercard, Visaadus de catre vendorii de carduri (atentie, nu banca in sine, ci card vendor). Cand acestea au fost adaugate, in scurt timp rata de frauda a scazut cu 80% (Bazata pe card theft etc). DPDV legalo-financiar (nu stiu cum sa ma exprim mai corect) daca cardul este echipat cu tehnologie EMV si pica prada unui furt, cei de la Europay/MC/Visa vor sustinte cheltuielile de returnare a baniilor (in functie de decizia care se va lua in urma anchetei)

Nowadays avem si NFC (near field communication) care e bazat pe RFID, dar vad ca nu s-a discutat despre asta pe aici, deci daca ai intrebari o sa iti raspund intr-un reply.

OK...

 

Acum avem o sumedenie de tool-uri si metodologii de furt de carduri sau date. Astea pleaca de la furtu fizic, la skimmere, shimmere si se duc pana la voice cloning, call spoofing, phishing, malware in terminale;

 

Skimmer: copiaza Track1/2/3 de pe banda magnetica (magnetic stripe);

Shimmer: copiaza datele si le decripteaza de pe EMV chip;

 

Infractorii ce au ca nisa frauda de tipu asta, lucreaza in retele si au: geeks tech savy(ce stau si se ocupa de partea hardware/software a tool-urilor), runners(baietii ce-s trimisi cu tehnologia sa o monteze *strategic in anumite puncte*(adica in USA pentru exemplu clasele sociale mai joase folosesc foarte mult carduri tip EBT, in alte zone se folosesc mai multe platinum cards, acestea difera la capitolul securitate/chip, etc), montarea unui asemenea aparat dureaza de la 10 la 30 de SECUNDE, iar apoi intra in schema money mules (si runners si money mules in romana pot fi numiti pe scurt, sageti), astia se ocupa cu retrasu baniilor din bancomate *Atentie, sa nu credeti ca astia va iau datele si bum scot banii, in functie de tipul cardului care poate fi dedus din seria numerologica din numarul acestuia aleg cand sa dea cash out. Adica, EBT-urile se alimenteaza intr-o anumita data din luna ca si un card de salar samd. In general culeg datele peste weekend si dau cash out abia zilele urmatoare la toate cardurile in mod sistematic, rapid si meticulos.* In medie un skimmer/shimmer montat stragetic intr-o anumita zona poate culege intr-un weekend undeva la 15.000-30.000 dolari/euro.

 

Chiar si daca ai un card echipat cu EMV chip serios, baietii sunt buni si o sa stie asta de la inceput din etapa atacului numita Reconnaissance, o sa analizeze tipul de carduri ce se plimba in zona si o sa tinteasca benzinaria, magazinul, cu atacuri de tip phishing > plantand un malware ce va defecta POS-ul in a nu mai putea procesa platiile bazate pe EMV si mno orice vanzator o sa vrea sa-ti ia banii asa ca va folosii banda magnetica (magnetic stripe-ul ala care nu are nici un fel de encriptie whatsoever). Si pac, intr-un moment in care credeai ca e doar o defectiune ti-au luat baietii datele;

 

La ce va referiti voi prin 3D secure e VBV/MCV - Verified by Visa/MasterCard Verified, aceasta tehnologie, atentie nu se aloca cardului ci vendor-ului, respectiv site-ului de pe care faci plata sau magazinul fizic. Exista o sumedenie de site-uri NON VBV. Infractorii de acest gen le cunosc si cumpara marfuri in PO si dupa declara furat sau cel mai usor jackpot, cumpara E Gift Cards mai apoi le schimba in BTC/Monero. Alta metoda des folosita e, baga banii la casino online si da cash out dupa pe alt cont sau Poker online  multe sunt NON VBV.

 

Alte metodologii de furt constau in voice cloning, in care cu ajutorul tehnologiei AI si nu doar s-au dezvoltat tool-uri care copiaza 100% accurate tonalitate, voce a unei persoane si infractorii in acest caz vor inscena o rapire cu vocea unei persoane si vor suna o ruda gen parinte si vor ameninta cu moartea persoanei, explicand ca o vor tortura si etc;

 

Alta metodologie, cea mai puternica si inteligenta (ghidusa mai bine zis) dupa parerea mea Call Spoofing, asta e chiar inteligenta;

Sti daca ti se fura cardul si infractorul incearca sa faca o plata cu el, daca cumva e o suma mai mare sau cumva intr-o total alta geolocatie fata de geolocatia ta uzuala, sistemele de securitate se vor activa si vei primii un mesaj gen, hei, tu ai incercat sa faci plata x in locul z la ora y? Da/Nu, daca raspunzi cu NU vei fi imediat contactat de catre un reprezentat din domeniul securitatii al bancii si te va intreba tu esti domnul cutare cutare si cutare, toata procedura. 

Ei atacul asta e ghidus, aici infractorii cunosc procedura bancii si ce vor face - daca au cardul tau clonat vor face automat o plata din asta care sa activeze sistemele bancii si dupa aceea dupa un anumit interval de timp te vor suna ei inaintea bancii dupa ce dai reply cu NU. Si te vor intreba dvs sunteti X? Raspunzi cu da, evident, te informeaza de plata care s-a facut si totodata iti vor spune ca s-a facut o schimbare de username de curand si te intreaba daca tu esti cel care a facut aceasta schimbare. Evident, tu panicat spui nu (esti intr-un moment in care na cineva incearca sa-ti ia banii din cont, clar nu mai gandesti totul clar si... urmeaza). Dupa ce le spui nu, ei vor spune ceva de genul, in regula pentru verificare am sa va rog sa-mi confirmati ultimul nume de utilizator pe care l-ati avut. Si tu le spui user-u.... Dupa aceea, iti zic ca vor bloca conturile si ca el e manager sau ceva de genul (social engineering, autoritate), intre timp s-ar putea sa primesti si un alt apel chiar de la banca si o sa-ti zica ca nu trebe sa mai raspunzi ca e colegu lui sub altern si ca se ocupa el (dl. manager fictiv), dupa aceea o sa mai vezi probabil vreo 2 plati, primesti notificari, esti si mai panicat si dintr-o data zice dl. manager fictiv, ca ti s-a schimbat si parola de curand si daca tu ai facut-o, clar zici dinou nu si aici iti va zice dl manager OK te ajut sa o resetezi si vrei primii un cod pe mail sau pe telefon din X cifre, sa-i comunici codul.... si bum acum ti-a schimbat parola cu codul OTP pe care i l-ai dat :P. Practic te-a facut sa-i zici user si parola si nu iti mai poti bloca contul si acum iti poate retrage efectiv toti banii din cont nu doar sume modice de 500/1000 (astea sunt practicate in cazul oameniilor ce au in cont 15.000+); 

 

Mai exista o sumedenie de atacuri, dar, sincer... Sper ca toate intrebarile tale au ca rol self defense si nu altceva. Daca cumva au alt rol, dai un search pe youtube la oamenii scam-uiti, o sa vezi imagini cu oameni ce plang, ajung sa se sinucida pentru ca nu mereu li se returneaza banii. Totodata sa stii ca infractorii de acest tip nu fura de la *banca* banca niciodata nu pierde din cauza fondului guvernamental pentru bancii (rezerva monetara), ei isi primesc toti banii pierduti din motive de frauda. Totodata infractorii de genu ataca economia globala puternic si distrug vieti.

Daca ai alte intrebari feel free.

 

Edited August 25, 2023 by kingpingzi

[kingpingzi]

Cel mai bine to stay safe, e sa mergi cu buletinul la banca sa scoti banii cash  

[gigiRoman]

Vezi ca unele banci au implementat cardless withdrawal. Generezi un cod din aplicatie valabil 30 de minute si il introduci in atm.

[aelius]

47 minutes ago, Weas2 said:

Hackerii pot fura datele de pe banda magnetică folosind dispozitive speciale, precum skimmere sau dispozitive de citire neautorizate, care interceptează informațiile de pe cardurile bancare atunci când sunt folosite în ATM-uri sau terminale de plată.

 

Hackerii pot sa-ți fută si mama, mai bine decât o face tatăl tău. Învățați in pula mea ce înseamna hacker si nu folosiți internetul pentru a face laba la strâmbele prezentate pe cancan.

[archerise]

aduc la viata acest topic.

m am documentat enorm in ultimul timp, pur research, si am facut niste teste pe cardurile mele (ba chiar am deschis conturi la unele banci pentru a avea si card la ele) si am ajuns in niste puncte peste care nu pot trece, nu gasesc rezolvari.

practic, orice card se poate clona si se pot face plati <100 lei contactless la orice pos.

pentru sume peste 100ron, unde este necesar OTP, apar probleme. am incercat ceva otp bots de pe net, d'aia de pe canale telegram, fara succes.

am gasit ceva cazinouri din afara unde se pot face plati fara a se cere cod de siguranta, sms, autentificare in app, dar banii raman cumva in tranzit, nu ajung nicaieri, ba chiar se intorc in cont dupa cateva zile.

lucrez momentan la a implementa un layer in plus de securitate pe parte de plati online, nu intru prea mult in detalii.

pentru researchul meu, daca ati intampinat, unde se pot face plati cu carduri de ro, fara a fi necesar cod OTP?

ma intereseaza ing/raiff

[Nytro]

3D Secure nu e mandatory, e implementat (optional) de catre procesatorii de plati. Daca un magazim (sau payment gateway) in cere, super, dar in SUA cred ca sunt putine magazine care folosesc. Mai gandeste-te la actiuni precum o comanda Bolt / Uber / Tazz, nu te folosesti de asta, ar fi enervat. Exemplu: Amazon poate?